BSI
Das Bundesamt für Sicherheit in der Informationstechnik ist die deutsche Cybersicherheitsbehörde. Für den Cyber Resilience Act soll es nach dem Gesetzentwurf der Bundesregierung vier Rollen in einer Hand bündeln. Einiges davon tut es schon, bevor das Gesetz verkündet ist.
BSI ist das Bundesamt für Sicherheit in der Informationstechnik, die deutsche Cybersicherheitsbehörde. Nach dem Entwurf des CRA-Durchführungsgesetzes wird es Marktüberwachungsbehörde, notifizierende Behörde, CSIRT und Bußgeldbehörde für den Cyber Resilience Act.
Definition in der Verordnung
Der Begriff wird in der Verordnung nicht eigens definiert. Die Verordnung (EU) 2024/2847 verlangt von jedem Mitgliedstaat, Behörden zu benennen: Marktüberwachungsbehörden nach Artikel 52 Absatz 2, eine notifizierende Behörde nach Artikel 35 und ein CSIRT als Koordinator nach Artikel 14 Absatz 7. In Deutschland weist der Gesetzentwurf BT-Drs. 21/6134 alle diese Aufgaben dem BSI zu. Es wird Marktüberwachungsbehörde und Beschwerdestelle für Verbraucher (§ 65 BSIG-E), notifizierende Behörde für Prüfstellen (§ 66) und Bußgeldbehörde für Verstöße nach Artikel 64 Absatz 2 bis 4 (§ 70). Außerdem unterstützt es kleine Unternehmen mit einem Reallabor (§ 67). Der Entwurf liegt seit der ersten Lesung am 11. Juni 2026 im Innenausschuss und ist am 7. Oktober 2026 nicht verkündet.
Was das für Hersteller bedeutet
Einige Aufgaben nimmt das BSI schon wahr: CERT-Bund im BSI ist seit dem 11. September 2026 das koordinierende CSIRT für Meldungen, das Notifizierungsverfahren für Prüfstellen läuft seit dem 11. Juni 2026, und seit dem 19. März 2026 führt das BSI den Vorsitz der europäischen Koordinierungsgruppe der Marktüberwachungsbehörden (AdCo CRA). Mit der Technischen Richtlinie TR-03183 gibt das BSI Herstellern eine freiwillige Hilfestellung zu Produktanforderungen, SBOM und Schwachstellenmeldungen. Die Bußgeldzuständigkeit fehlt dem BSI, solange das Gesetz nicht verkündet ist; der Bußgeldrahmen aus Artikel 64 gilt nach Artikel 71 Absatz 2 ohnehin erst ab dem 11. Dezember 2027.